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Résumé 


À l’ère des communications électroniques, le codage des informa- 
tions destiné à en assurer la confidentialité est devenu une nécessité. 
Cet article précise les enjeux actuels de la cryptographie, évoque 
quelques systèmes classiques comme le D.E.$. puis décrit l’apport 
décisif de l’arithmétique dans deux systèmes récents. 


1 Introduction 


L'idée de coder un message dans le but de le rendre inintelligible à toute tierce 
personne ne date pas d'aujourd'hui. Les « messages secrets » ont joué un 
rôle important dans tous les conflits depuis que l’homme sait écrire, et sont 
habituellement associés aux guerres ou aux agents secrets. 


Ce qui est nouveau, c’est le besoin quasi vital de coder toute sorte d’information 
dans notre vie de tous les jours. Aïnsi, les cartes bancaires sont devenues nos 
proches compagnes et utilisent deux systèmes de cryptage : le système stan- 
dard à clé secrète DES (Data Encryption Standard) et le système RSA dont 
nous parlerons plus loin. 


Dans un autre domaine, les transactions qui s’effectuaient par lettres, par 
téléphone ou par contact direct entre deux personnes se font de plus en plus 
par l’intermédiaire de réseaux de communications électroniques. Les micro- 
ordinateurs sont connectés grâce aux modems et au réseau téléphonique, on 
s’envoit des fax et l’on utilise la poste électronique. Les informations circulent 
entre les machines sans qu’il y ait nécessairement intervention humaine, et 
il est de plus en plus facile d'émettre un message sous une fausse signature 
ou de lire un message sans que son destinataire ne le soupçonne. Aïnsi la 
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généralisation de l’emploi de moyens modernes de communication multiplie 
les possibilités d’indiscrétion et de falsification. Les conséquences de telles 
falsifications peuvent être graves. Ne pas protéger un message, c’est s’exposer : 


e à voir un concurrent connaître les termes exacts d’un contrat signé entre 
deux partenaires, 


e à recevoir des messages sans être parfaitement sûr de leur provenance 
puisque étant correctement signés, 


e à voir son compte en banque débité à la réception d’un ordre de virement 
électronique émis sous une fausse signature, 


e à ce que des documents confidentiels tels des renseignements médicaux, 
financiers ou commerciaux soient interceptés et utilisés à mauvaises fins, 


e à ce qu'un satellite obéisse à un quelconque groupe terroriste et pointe 
ses missiles sur son pays. 


Finalement, qu'est-ce qu’un bon système de cryptographie ? C’est un système 
qui permet de rendre un message indéchiffrable par toute personne à laquelle 
il n’est pas destiné tout en pouvant être facilement traduit par le destinataire 
officiel. Dans la mesure du possible, ce système doit permettre de joindre une 
signature inviolable au message pour permettre au destinataire de contrôler 
son authenticité. 


2 Structure générale d’un cryptosystème 


Les ingrédients d’un cryptosystème sont : 


- une fonction de codage (ou « d’encryptage ») CKx, 

- une fonction de décodage (ou « de décryptage ») DK, 

- une clé K. 

L’émetteur désire envoyer un message M. Il utilise la clé KX pour produire le 
message codé Cx(M). Le récepteur doit ensuite pouvoir à l’aide de DXx et de 
Cx(M) reconstituer le message M. 


En d’autres termes, on doit avoir : 
DK(Cx(M)) = M pour tout message M. 


Cette égalité entraîne l’injectivité de C'x. CK doit associer des textes distincts 
à des messages distincts ! 


La connaissance de Dx et de Cx ne doit être possible que si l’on connaît la 
clé K. Cette clé doit être tenue secrète par l’émetteur et le récepteur. Un 
tel système exigeant une clé unique est appelé cryptosystème conventionnel 
ou cryptosystème à clé simple et peut se schématiser dans la diagramme ci- 
dessous : 


M, [emerreur] #0) [RECEPTEUR] °C 
Î i 
: K 


Cryptosystème à clé simple 


Nous allons maintenant voir trois exemples de cryptosystèmes conventionnels. 


3 Code de César (101-44 avant JC) 


Supposons que le message M soit formé avec l’alphabet usuel À = {A, B,..., 7}. 
Soit o une permutation de À. Le codage d’une lettre x du message M sera 
o(x) et son décodage se fera au moyen de ol. Avec la permutation cyclique : 


T— (US 2 EP PL A DO AC A LEO LP GC EN 1 OR EPA 


on obtient : 


Message : BON JOUR 
Message crypté : H G J O G Q U 


Le cycle © représente la clé permettant le codage et le décodage du message. 
Evidemment un tel codage est facile à percer, une méthode possible consistant 
à calculer les fréquences d’apparition de chaque lettre dans le message codé 
puis à les comparer à celles, connues, d’un texte écrit en clair. 


Ce mode de cryptage est appelé code de César. Suétone rapporte en effet que 
les lettres de César à Cicéron étaient codées en remplaçant chaque lettre par 
celle située 3 places plus loin dans l'alphabet [2][4]. 


4 Code de Vigénère (1523-1596) 


Dans les codes de César, on traduit chaque lettre du message en une autre 
lettre grâce à la permutation o. On peut compliquer ce procédé en traduisant 
cette fois-ci globalement le message M, formé d’une succession de lettres, à 
l’aide d’une application injective de l’ensemble des mots de longueurs quelcon- 
ques dans lui-même. 


Prenons la permutation o du paragraphe précédent. Elle est cyclique d’ordre 
26 et l’on peut introduire les 26 permutations a, 1 < j < 26. Servons-nous 
des lettres de l’alphabet pour noter chacune de ces permutations : A pour o!, 


B pour o?, etc. 
Prenons le mot ACID pour clé. On a : 


Azol Co Izo° Do 


et le codage : 


Message : BON J OUR 
Clé : A C I D A C I 
Message crypté : H K E K G I C 


Ici la clé est le couple (o, ACID) et les transformations sont du type ”addition 
modulo 26 ” dans Z/26Z. On vient de voir un exemple de code de Vigénère, 
ou polyalphabétique par opposition au code monoalphabétique de César. 

Le code de Vigénère, largement utilisé durant des siècles, est facile à percer 
surtout si l’on connaît la longueur du mot-clé. Dans l’exemple précédent 
où le mot-clé ACID comporte 4 lettres, il suffit de calculer les fréquences 
d'apparition des lettres du message crypté situées aux premières, cinquième, 
neuvième, … places puis de les comparer à celles des lettres d’un message en 
clair [6]. 


5 Le système D.E.S. 


Ce mode de cryptage à été retenu en janvier 1977 par le U.$S. National Bureau 
of Standards pour toutes les organisations fédérales en ce qui concerne la 
protection des données informatiques. A l’heure actuelle, le Data Encryption 
Standard (D.E.S.) est présent dans chacune de nos cartes bancaires et permet 
leur authentification à chacune de leur utilisation. 


Ici les mots M sont formés de 64 bits et la clé secrète en comporte 64 dont 
56 choisis aléatoirement, les 8 restants servant de bits de contrôle. Cette clé 
permet de procéder à 16 séries d'opérations et le décryptage consiste à inverser 
l’ordre de ces opérations. 

Il s’agit d’un algorithme de « codage par blocs ». On applique d’abord une 
permutation p sur le bloc M, puis on divise le bloc en deux parties : la moitié 
gauche Go et la moitié droite Do. Une série d'opérations consiste à passer du 
bloc (G;-1, D;_1) au suivant (G;, D;) en faisant : 


CG = Din 
Di = Giro TDi, Ko) 
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pour 1 <i< 16. 


K; est une sous-clé de 48 bits obtenue à partir de la clé K. f(D;_1, K;) est 
obtenu ainsi : D;_1 contient 32 bits. On lui fait subir une expansion (ajout 
de bits à certaines positions) pour obtenir un mot D!_, de 48 bits. On forme 
D!_,+K, puis on réduit le mot de 48 bits obtenu via des tables pour obtenir un 
mot de 32 bits. On permute enfin une dernière fois pour arriver à f(D;-_1, K;). 


A la fin des 16 séries d'opérations, on applique la permutation p-! pour obtenir 
le message crypté. Le tableau en annexe permet de se faire une idée de 
l'algorithme de cryptage, et plus de renseignements sur le D.E.S. pourront 
être obtenus en [11], en [4] et dans l’article [10]. 


6 La cryptographie à clé révélée 


Un cryptosystème conventionnel montre vite ses limites s’il s'adresse à un pub- 
lic très large. La difficulté réside déjà à déterminer suffisamment de clés et à 
les distribuer confidentiellement à tous les couples émetteurs-récepteurs. De 
plus une société désirant communiquer avec un millier de correspondants po- 
tentiels devra conserver secrète une liste de mille clés correspondant à chacun 
de ses interlocuteurs possible, mais sera dans l’obligation d’autoriser plusieurs 
personnes « sûres » à accéder à cette liste, multipliant dangereusement les 
risques d’indiscrétion. 

Pour finir, les besoins en clés croïssent trop vite : des communications cryptées 
entre n abonnés nécessiteront n? clés distinctes K;j correspondant à chacun 
des couples (E;, R;) formés par un émetteur E; et un récepteur R;, avec à et j 
dans {1,...,n}. 

C’est pour pallier ces inconvénients que Diffie et Hellman ont introduit les 
cryptosystèmes à clés révélées en 1976 ([3], [5]). Le principe en est simple : 
puisqu'il s’agit de limiter le nombre de clés tenues secrètes, il suffira d’attribuer 
une clé secrète K au récepteur puis de construire, à l’aide d’une fonction 
judicieuse T, une clé T(K) qui sera connue de tous les émetteurs. 


Evidemment, la fonction T devra être suffisamment compliquée pour que l’on 
ne puisse pas retrouver la clé X de décodage à partir de T(K), en un temps 
raisonnable et malgré l’utilisation des plus puissants ordinateurs. 


Un tel système à clés révélées possède au moins deux avantages : 


e le nombre de clés nécessaires aux communications entre n abonnés de- 
vient n au lieu des n? précédentes, et sont distribuées seulement aux 
récepteurs. Elles continueront à être gardées secrètes. Ce sont les clés 
de décodage. 


e les clés de codage T(K), par contre, pourront être connues du public. Le 
progrès est énorme : ces clés pourront être regroupées dans des annuaires 
semblables à nos bottins téléphoniques et accessibles à tous par minitel. 


Supposons que nous ayons n récepteurs potentiels R1, Ro, …, R, auxquels ont 
été attribuées n clés K1, K2,..,K} de décodage, secrètes. Un émetteur Æ 
désire envoyer un message M à R;. Il consulte un annuaire public donnant 
toutes les clés de codage T(K:),T(K2),..,T(K,) des abonnés et obtient la 
clé T(K;) de R;. Il envoie le message codé Cr(x,)(M) et le destinataire le 
décodera en calculant Dx;Cr(x,)(M). On devra évidemment avoir : 


DKkCr(k)(M) = M 


pour toute clé KÀ et pour tout message M. 


Mais il y a mieux. Nous avons vu que, deux précautions valant mieux qu’une, 
il est recommandé de signer son message de sorte que le destinataire À; puisse 
avoir la preuve irréfutable que ce message provient bien de Æ;. Cette précau- 
tion est inutile lorsqu'on utilise une clé simple conservée secrète à la fois par 
l'émetteur et le récepteur, mais devient importante à partir du moment où 
n'importe quelle personne peut accéder à la clé de codage. Supposons doré- 
navant que l’émetteur E soit un des abonnés R; pour à convenable. E = R; 
possède sa propre clé de décodage X; dont il va se servir en formant le message 
codé suivant : 
M = Cr(K,;)(DK;(M)) 

qu’il envoie à R;. Ce dernier connaît sa clé secrète de décodage K'; et peut lire 
la clé T(K;) de codage pour tout envoi de donnée vers À; sur l’annuaire. Il 
forme alors Cr(x,)(Dx,;(M)) et obtient le message originel M et la certitude 
qu’il provient bien de R;. 


Résumons-nous par deux schémas : 


(7 M Dx(C M) )=M 
M, Feverreurl O0 Grcepreur! 2“ (Cru) 
Î Î 
T(K) publique K secrète 


Communication à clé révélée sans signature 


M=Cr(K;)(DK;(M)) — 


Cri t 
21, EMETTEUR R; ee RECEPTEUR R;| 
î i 
T(K;) publique T(K;) publique 
K; secrète K; secrète 


Communication à clé révélée avec signature 


Une telle fonction T qui à une clé X associe une clé T(K), qui rend impossible 
le calcul de K à partir de T(K) malgré l’utilisation des ordinateurs les plus 
performants ( et pour un temps de calcul raisonnable ), et qui vérifie : 


DKk(Crx)M))=M et Cr(k)(Dk(M)) = M 
pour tout M , sera appelée fonction trappe ou fonction à sens unique. 


Les paragraphes suivants donnent deux exemples de fonction trappe arithmé- 
tique parmi les plus usitées. 


7 Le système RSA (Rivest, Shamir & Adleman, 
1978) 


7.1 La fonction indicatrice d’Euler 


Ayant à écrire un message, la première question est de savoir quel alphabet 
employer. On peut évidemment utiliser l'alphabet usuel ou bien tout ensemble 
fini de symboles. Le problème réside alors dans la façon de définir les fonctions 
T,C'et D. L'idée bien naturelle est de s’offrir un alphabet muni d’une structure 
algébrique, par exemple l’anneau quotient : 


Z/nZ = {0,i,...,n = 1} 


formé des restes des divisions euclidiennes des entiers par n. 

La fonction arithmétique & qui à tout entier naturel non nul n associe le 
nombre d’entiers naturels premiers avec n et strictement inférieurs à n, est 
appelée fonction indicatrice d’Euler. On sait que w(n) est aussi le cardinal du 
sous-groupe multiplicatif U des éléments inversibles de l’anneau Z/nZ. 
D'autre part le théorème de Lagrange énonce que si G est un groupe multipli- 
catif fini de cardinal s et d’élément neutre e, alors tout élément x de G vérifie 
x° = e. Appliqué au groupe U, ce théorème montre que : 


vieu à 2; 


soit : 
x = 1 (n) 
pour tout entier x premier avec n. 


Nous aurons aussi besoin de savoir que si p et q sont premiers entre eux, alors : 


p(pq) = (p—1)(q — 1). 


On pourra se référer à [9] ou [6] pour ce qui concerne la fonction indicatrice 
d’Euler. 


7.2 Principe du système RSA 


Donnons-nous deux entiers premiers p et q, et formons n = pq. Fixons un 
entier m premier avec g(n) = (p — 1)(q — 1). Le Théorème de Bezout montre 
l'existence de 2 entiers w et v vérifiant um + vy(n) — 1. Donnons-nous un 
message M formé d’une succession de lettres de l’alphabet U inclus dans : 


Z/nZ = {0,1,..,n = Fi 


Notons x une telle lettre. On peut imaginer + comme un entier premier avec 
n, ie non multiple de p ou q. 


De rmtv(n) = x et x°(n) = 1 (n) on déduit 1" = x (n). 
Il suffit de poser : 
C(x) = x" (n) 


D(y) = y" (n) 


pour que, æ étant quelconque dans {1,...,n — 1}et premier avec n, l’on ait : 
D(C(x)) = D(x*“) = 2° = x (n) 


Les fonctions D et C seront nos fonctions de décodage et de codage. 


Ce procédé appelle plusieurs remarques : 


1) Pour crypter, on à besoin de ©, soit de u et de n, qui seront donc du 
domaine public et accessibles en consultant un annuaire. 


2) Pour décrypter, il faut connaître m et n. 
3) Avec les notations du &. 6, 


T(K) = (u,n) = clé publique de codage, 
K = (m,n) = clé secrète de décodage, 
T'est la fonction trappe. 


Si n — pq est connu de tout le monde, p et qg seront conservés secrets car 
leur connaissance entraine celle de w(n) = (p — 1)(q — 1) et celle de m en 
résolvant Bezout : um + vy(n) = 1, u étant donné dans l’annuaire. Pour 
rendre le calcul de p et q impossible en un temps raisonnable et en utilisant 
un ordinateur puissant, il faut que n soit très grand. 


Pour donner un ordre de grandeur de n, disons qu’en 1982 un ordinateur aurait 
été dans l’obligation de fonctionner pendant un million de milliards d’années 
pour obtenir les deux seuls facteurs p et q d’un nombre n à 126 chiffres (cf 
[3]). Il y a de quoi décourager les plus tenaces ! 


Réfléchissons maintenant au dernier obstacle important : est-il facile d'obtenir 
en un temps raisonnable de tels produits de deux nombres premiers d’environ 
63 chiffres chacun ? Là, nous avons beaucoup de chance et c’est ce qui rend 
la construction RSA si pertinente. Il est en effet beaucoup plus facile, pour 
un ordinateur, de déterminer si un nombre est premier que de donner sa dé- 
composition en facteurs premiers. Ainsi, en 1983, le temps moyen nécessaire 
à un gros ordinateur pour tester la primalité d’un entier dans les cas les plus 
défavorables est donné dans le tableau ci-dessous dû à Pomerance ([8], voir 
aussi [3] ou [7]). 


nombre de chiffres : 20 50 100 200 1000 
temps de calcul :  10sec 15sec 40sec 10min 1 semaine 


Résumons : on peut « facilement » obtenir deux nombres premiers p et g de 
63 chiffres. On effectue leur produit, en une fraction de seconde sur ordina- 
teur, pour obtenir notre nombre n = pq dont on ne pourra plus retrouver la 
décomposition. L’algorithme d’Euclide permet alors le calcul ”rapide” de u 
une fois m choisi. L'application T : (m,n) — (u,n) mérite bien son nom de 
fonction trappe puisque la connaissance de la clé publique de codage (u,n) ne 
rend pas possible celle de la clé secrète de décodage (m,n). Le problème de 
cryptage à clé révélée est résolu avec l’aide de la fonction 4. 


7.3 Exemple numérique 


Prenons p = 13 et g = 23. On aura n = pq = 299 et @(n) = 12 x 22 = 264. 
Une lettre du message sera un élément x de {0,1,...,298} premier avec 299, 
et l’on peut choisir m = 17 qui est bien premier avec w(n). 

On résout l’équation 17u+264v = 1 par la technique des divisions euclidiennes 
SUCCESSIvES : 


264 = 17x15+9 
17 = 9X1+8 
9 — 8x1+I 


qui permettent d'obtenir, en remontant les calculs : 


1=9-—8—9—(17—-9)=2x9—17 
1 = 2(264 — 17 x 15) — 17 = 17 x (—31) + 264 x 2. 


(u,v) = (—31,2) est une solution de 17u + 264v = 1. Les fonctions C et D 
seront ici : 


Casse tte par A, 


D(y) = y" =yT. 
Le calcul de C(x) = x°% est inquiétant, mais il ne faut pas oublier que l’on 
travaille modulo 299, ce qui permet une simplification à chaque pas de calcul. 
Prenons par exemple x = 200. 
x? = 40000 = 233 (299) 
a$ = x°.x = 233 x 200 = 255 (299) 
2 = x%.x = 255 x 200 = 170 (299) 
etc 
Un petit programme permet de calculer C(x) et D(y). On trouve par exemple 
ici C(200) = 187, puis D(187) = 18717 = 200 pour le décodage. 


Passons maintenant à une autre solution mettant en jeu une fonction trappe... 


8 La méthode des empilements 


8.1 Problème de la pile 


Donnons-nous n boîtes de hauteurs respectives a1,.…,an distinctes deux à 
deux. Choisissons-en certaines que nous empilons et mesurons la hauteur 
h de la pile ainsi obtenue. « Résoudre le problème d’empilement pour ces n 
boîtes » signifie retrouver les boîtes que nous avons utilisées pour constituer la 
pile à partir des seules connaissances de la hauteur À et des hauteurs a1,.…., an 
des boîtes susceptibles d’être utilisées. En d’autres termes, il s’agit de résoudre 
l'équation : 
Q1T1 +. + Ann = À 


où les inconnues x%1,.….,%, ne peuvent prendre que les valeurs 0 ou 1. 


Un tel problème est difficile à résoudre dès que n devient suffisamment grand 
car l’on ne connaît pas de méthode plus rapide que celle consistant à effectuer 
les 2° essais correspondant aux 2” valeurs possibles de la n-liste (x1,...,%h). 

Le problème de la pile posé avec a1,.…,an est un problème de taille n qui 
exige un temps de résolution proportionnel au nombre 2” de tests à effectuer. 
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Comme 2” croît plus vite que toute fonction polynomiale de n, on dira que le 
problème de la pile est un problème de classe NP, c’est-à-dire non résoluble en 
temps polynomial. 

En d’autres termes, il n’existe pas de méthode connue permettant de résoudre 
ce problème de taille n en un temps qui soit une fonction polynomiale de n. 
La résolution du problème de la pile est difficile en un temps raisonnable et 
même si l’on dispose d’un ordinateur extrêmement puissant. 


8.2 Un cas particulier salvateur 


Supposons que les hauteurs des n boîtes soient b1,….,b, et vérifient cette fois- 
ci : 
Vk € OrLsnE bi + bo +... + by < bk (+) 


Si h désigne la hauteur d’une pile formée par certaines de ces boîtes, et si 
h > bn , alors xn = 1. En effet x, — 0 entraînerait h < bi +... + bh_1 < bn, 
ce qui est absurde. 


Par contre si À < b, alors z, = 0. On recommence avec b,,_ et ainsi de suite. 
On obtient l’algorithme suivant : 


SITE 

A N 
k=n) — mr xg=0 — |k:=k-1 
î L 


| k<O 


Pile dans le cas général Cas particulier 
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Cet algorithme est précieux car utilise seulement n tests successifs au lieu 
des 2” essais de la méthode générale. Le problème de la pile muni de cette 
nouvelle hypothèse sur les b; devient résoluble en temps polynomial. 


8.3 Le cryptage 


Par quel artifice peut-on passer du problème facile vu en 8.2 à celui non ré- 
soluble en temps polynomial évoqué en 8.1 ? Et bien c’est l’arithmétique des 
congruences qui fera le travail : partant de b = (b1,...,b,) satisfaisant la con- 
dition (+) du 8.2, on fixe 2 entiers naturels m et w premiers entre eux et l’on 
calcule : 
ai = b;.w (m) 

pour tout à. Cela rend la recherche des b; à partir des seuls a; impossible. Si 
x désigne la classe de x € Z dans l’anneau Z/mZ, on sait que # est inversible 
ssi æ est premier avec m. w sera donc inversible dans Z/mZ et il existera un 


—1 — 


entier w! tel que w.w | = 1, ie. w.w (m), de sorte que l’on ait : 


pour tout 1. 


Supposons que l’émetteur veuille envoyer le message x = (x1,...,%n) où æ; = 0 
ou 1. Il utilise sa clé de codage a = (a1,…, an) pour former le nombre : 


C'(x) = ati +. + antn = À 


qu’il transmet au récepteur. Ce dernier applique la clé de décryptage (w, m, b) 
et forme : 
“a (m) 


hu L = bixi + + bytn (m). 


hw ! = oaw ri +... + aw— 


Quitte à prendre des représentants modulo m de h.w-! situés dans l'intervalle 
[0,m! et à supposer que 0 < b1 +. + b, < m, on aboutit à : 


hw = bia + + bntn 


soit au problème de la pile résoluble selon la méthode du 8.2. On possède bien 
un système de cryptographie publique à clés révélées puisque se résumant à la 
donnée : 


e d’une clé secrète de décodage K = (w, m, b), 
e d’une clé publique T'(K) = a pour le codage, 


e d’une fonction trappe T fournissant la clé publique T (K) à partir de la 
clé secrète K. Il s’agit de T'(w,m,b) = wb. 
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8.4 Exemple numérique 


Soit b — (b1,..,b12) = (1,3,5, 10, 23, 45, 88, 180, 357, 715, 1430, 2865). Choi- 
sissons un entier m > bi + … + b12 — 5722, par exemple m — 5849 qui est 
premier. Prenons w = 3903. L’algorithme d’Euclide permet de trouver u et v 
tels que 3903u + 5849v = 1 et d’en déduire l’inverse de w modulo 5849, on 
trouve w=! — 532. 


Calculons a = bw que l’on réduit modulo m : 
a = bw = (3903, 11, 1968, 3936, 2034, 165, 4222, 660, 1309, 672, 1344, 4656). 


Supposons que 100101110100 soit le message à envoyer. On calcule le message 
crypté : 


> 
Il 


3903 + 3936 + 165 + 4222 + 660 + 672 
13558 = 1860 (5849) 


que l’on envoie sur un canal non protégé. Le décryptage consiste à résoudre 
l'équation : 
—1 
hw — b1x Hs b12T10 


Calculons alors kw! — 1860 x 532 — 989520 = 1039 (5849). On applique 
l'algorithme de la pile simple : 


1039 < 1430 donc %11 = %129 = 0, 

1039 > 715 donc x10 = 1 et bi +. + boxg — 1039 — 715 = 324, 
324 < 357 donc 9 = 0, 

324 > 180 donc x8 = 1 et biæ1 + … + b7x7 = 324 — 180 = 144, 
144 > 88 donc x7 = 1 et bix1 + …. + béxe = 144 — 88 = 56, 

56 > 45 donc x6 = 1 et biz + … + b5x%5 = 56 — 45 — 11, 

11 < 23 donc 5 = 0, 

11 > 10 donc x4 = 1 et bi1x1 +... + b3x%3 = 11 — 1 = 10, 


et cela entraîne x1 = 1 et z2 = x3 = (0. 
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ANNEXE 


Les 16 opérations successives du D.E.S. 


MESSAGE EN CLAIR (64 bits) 


p permutation 


K, CLE PARTIELLE (48 BITS) 


K, CLE PARTIELLE (48 BITS) 


permutation inverse de p 


MESSAGE CRYPTE 
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